Ashio whistleblowing software

Sep 17, 2026

Kto może być jednostką obsługującą zgłoszenia w MŚP

Cover: Kto może być jednostką obsługującą zgłoszenia w MŚP

Ustawa o ochronie sygnalistów nie mówi wprost, kto w małej firmie ma być „jednostką obsługującą zgłoszenia”. Dlatego właściciele MŚP najczęściej wskazują HR – albo dlatego, że HR jest pierwszym skojarzeniem, albo dlatego, że jest jedynym zespołem, który wydaje się wystarczająco „poważny”. Tymczasem wybór osoby lub komórki ma konkretne konsekwencje prawne i operacyjne.

Pytanie kto może być jednostką obsługującą zgłoszenia w MŚP wymaga spojrzenia poza schemat „mamy HR, więc HR”. Jednostka obsługująca to nie etykieta na drzwiach – to osoba lub komórka, która faktycznie przyjmuje zgłoszenie, kwalifikuje je, komunikuje się ze zgłaszającym i prowadzi postępowanie wyjaśniające. Od jej bezstronności zależy, czy sygnalista zaufa kanałowi, a od jej kompetencji – czy firma wyrobi się w terminach ustawowych. W dalszej części pokażę, jakie opcje ma mała firma, co dokładnie narzuca ustawa i jak uniknąć błędów, które kończą się odpowiedzialnością zarządu.

Spis treści

Dlaczego wybór jednostki obsługującej to nie decyzja techniczna

Większość poradników zaczyna od narzędzia – formularza, platformy, integracji z HRIS. To zły punkt startu. Najpierw trzeba rozstrzygnąć, kto w organizacji będzie pełnił tę rolę, bo to on odpowiada za terminowe potwierdzenie przyjęcia zgłoszenia (7 dni) i za udzielenie informacji zwrotnej (3 miesiące). Jeśli wybór będzie przypadkowy, terminy zaczną się rozjeżdżać, a to właśnie terminowość jest najczęściej kontrolowana przy pierwszych kontrolach.

Druga warstwa to odpowiedzialność. W MŚP rzadko wyodrębnia się działy compliance, dlatego jednostka obsługująca zgłoszenia staje się jednocześnie filtrem pierwszego kontaktu dla sygnalisty, negocjatorem z zarządem i dokumentalistą gotowym na audyt. To oznacza trzy różne kompetencje, które rzadko mieszczą się w jednej osobie. Stąd potrzeba świadomego doboru – z uwzględnieniem profilu firmy, kultury organizacyjnej i poziomu ryzyka.

Trzecia warstwa to wiarygodność wobec pracowników. Sygnalista, który widzi, że jego sprawą zajmuje się bezpośredni przełożony osoby, którą zgłasza, szybko wycofuje się z kanału. Dlatego w małych firmach często jedyną rozsądną opcją jest wyznaczenie osoby spoza bezpośredniej linii zgłoszonego naruszenia – nawet jeśli to wymaga skorzystania z rozwiązań zewnętrznych opisanych w eu whistleblowing compliance.

Kto może pełnić tę rolę – opcje dla MŚP

Ustawa o ochronie sygnalistów nie wymienia stanowisk z nazwy – posługuje się pojęciem jednostki organizacyjnej lub osoby w niej działającej. Dla MŚP ta elastyczność przekłada się na kilka realnych scenariuszy:

  • Właściciel firmy lub członek zarządu – dopuszczalne tylko wtedy, gdy nie jest stroną potencjalnego zgłoszenia. W jednoosobowych działalnościach często nie ma innej opcji, ale wymaga to wyraźnego oddzielenia roli „szefa” od roli „jednostki obsługującej” – np. poprzez prowadzenie dokumentacji w sposób umożliwiający późniejszy audyt.
  • Wyznaczony pracownik HR – klasyczny wybór, ale obarczony konfliktem ról, gdy zgłoszenie dotyczy przełożonego lub samego działu HR. Sprawdza się przy sprawach miękkich: nękaniu, dyskryminacji, relacjach w zespole.
  • Compliance officer lub controller – lepszy profil do spraw o charakterze regulacyjnym (finanse, zamówienia, dane osobowe). W wielu MŚP to ta sama osoba, która odpowiada za RODO – i to naturalny punkt wyjścia.
  • Zewnętrzna jednostka obsługująca (outsourcing) – zewnętrzny podmiot, któremu powierza się obsługę zgłoszeń. To rozwiązanie rośnie popularnie, bo rozwiązuje problem braku bezstronnego personelu wewnętrznego.
  • Pełnomocnik lub rada sygnalistów – wariant rzadki w MŚP, ale spotykany w firmach, które chcą rozdzielić funkcję „przyjmującego zgłoszenia” od funkcji „badającego sprawę”. Pomocne przy większych strukturach holdingowych.

W praktyce mała firma wybiera między trzema ścieżkami: własny pracownik, właściciel lub podmiot zewnętrzny. Kryterium nie powinno brzmieć „kto się zgodzi”, lecz „kto jest w stanie zachować niezależność od kierownictwa w konkretnej sprawie”. Pomocne jest też spojrzenie na dedykowane strony dla compliance officerów i HR — przedstawiają one różne zakresy odpowiedzialności i typy spraw, do których pasują. – różnią się zakresem odpowiedzialności i typem spraw, do których pasują.

Co ustawa wymaga od jednostki – obowiązki i termin odpowiedzi

Infographic: Co ustawa wymaga od jednostki – obowiązki i termin odpowiedzi Ustawa o ochronie sygnalistów nakłada na jednostkę obsługującą konkretne obowiązki jednostki obsługującej zgłoszenia, które warto spisać w wewnętrznej procedurze, zanim jeszcze padnie pierwsze zgłoszenie. Najważniejsze z nich to:

  1. Przyjęcie zgłoszenia i nadanie mu identyfikatora – nawet jeśli zgłoszenie przychodzi telefonicznie, mailem lub ustnie.
  2. Potwierdzenie przyjęcia w terminie 7 dni od dnia otrzymania – liczy się data wysłania potwierdzenia, nie jego odebrania.
  3. Kwalifikacja wstępna – czy zgłoszenie dotyczy naruszenia prawa objętego ustawą, czy też sprawy pracowniczej wyłączonej z zakresu (np. indywidualne spory pracownicze w MŚP do 50 osób, jeśli regulamin tak stanowi).
  4. Prowadzenie postępowania wyjaśniającego – zebranie dowodów, przesłuchanie świadków, analiza dokumentów. Jednostka nie musi robić tego sama, ale koordynuje całość.
  5. Udzielenie informacji zwrotnej w terminie 3 miesięcy – o planowanych lub podjętych działaniach. Ustawa nie wymaga ujawnienia wyniku śledztwa, ale wymaga, by sygnalista wiedział, że jego sprawa żyje.
  6. Prowadzenie rejestru zgłoszeń z zachowaniem poufności i wymaganym okresem przechowywania (3 lata od zakończenia postępowania).
  7. Zapewnienie ochrony sygnaliście – nie tylko deklaratywnie, ale operacyjnie: ograniczenie kręgu osób z dostępem do danych, zakaz działań odwetowych.

Dla MŚP szczególnie istotne są punkty 2 i 5, bo to one są najczęściej weryfikowane przy kontrolach. Jeśli firma nie wyrobi się z potwierdzeniem w 7 dni, niezależnie od tego, jak dobrze zbada sprawę, ma naruszenie proceduralne. Dlatego warto, by Dobrym rozwiązaniem jest, by procedura wewnętrzna zawierała jasny grafik eskalacji — kto, kiedy i komu przekazuje sprawę. zawierała jasny grafik eskalacji – kto, kiedy i komu przekazuje sprawę.

Warto też pamiętać, że zgłoszenie może być anonimowe i w tej formie ma taką samą ochronę jak zgłoszenie imienne. Jednostka obsługująca musi umieć prowadzić komunikację dwukierunkową bez ujawniania tożsamości – co wymaga zarówno narzędzia, jak i przeszkolenia osoby przyjmującej zgłoszenia.

Kiedy HR, a kiedy compliance – jak dobrać do profilu firmy

Nie ma jednej recepty, ale jest prosta macierz decyzyjna. Pytanie brzmi: jakiego typu sprawy są najbardziej prawdopodobne w Twojej firmie?

  • Przeważają sprawy miękkie (mobbing, nękanie, konflikt w zespole, nieprawidłowości w rekrutacji) → HR jest naturalnym wyborem, pod warunkiem że sprawy nie dotyczą bezpośrednio przełożonego HR-u ani zarządu.
  • Przeważają sprawy twarde (nieprawidłowości finansowe, naruszenia RODO, łamanie procedur antykorupcyjnych, naruszenia w łańcuchu dostaw) → compliance lub osoba odpowiedzialna za RODO. W MŚP to często jedna i ta sama osoba.
  • Mieszane ryzyka (np. klinika z ryzykiem billingowym i jednocześnie ryzykiem relacji w zespole) → najlepsza opcja to zewnętrzna jednostka obsługująca, która nie jest uwikłana w wewnętrzne struktury.

Kluczowa zasada: im mniejsza firma, tym bardziej prawdopodobne, że każdy kandydat na jednostkę wewnętrzną ma konflikt interesów z co najmniej jedną osobą w organizacji. To nie dyskwalifikuje HR – ale wymaga wcześniejszego zdefiniowania, kto przejmuje sprawę, gdy zgłoszenie dotyczy samego HR-u albo zarządu.

Drugie kryterium to kompetencje prawne. Sprawy z zakresu whistleblowingu coraz częściej wymagają oceny, czy dany czyn stanowi „naruszenie prawa” w rozumieniu dyrektywy 2019/1937 – tu potrzebna jest przynajmniej podstawowa orientacja w prawie administracyjnym, finansowym lub ochronie danych. Jeśli ich brakuje, lepszą opcją jest rozwiązanie zewnętrzne. Pomocne może być też sprawdzenie terminów zgodności obowiązujących w poszczególnych jurysdykcjach. – szczególnie gdy firma działa w kilku jurysdykcjach.

Jak uniknąć konfliktu ról i konsekwencji dla zarządu

Najczęstszy błąd MŚP: wyznaczenie jednej osoby do wszystkich ról – przyjmującego zgłoszenie, prowadzącego postępowanie i decydującego o działaniach naprawczych. To klasyczny konflikt ról, który w razie kontroli staje się zarzutem braku niezależności jednostki obsługującej. Konsekwencje spadają nie na wyznaczoną osobę, lecz na zarząd – bo to zarząd odpowiada za wdrożenie procedury i wybór osoby.

Jak tego uniknąć:

  • Rozdziel przynajmniej dwie role: osoba przyjmująca zgłoszenie i osoba zatwierdzająca działania powinny być różne. W MŚP oznacza to często: pracownik przyjmuje, zarząd zatwierdza.
  • Wpisz do procedury mechanizm eskalacji: jeśli zgłoszenie dotyczy osoby wyznaczonej, sprawa automatycznie trafia do innego odbiorcy (np. zewnętrznego pełnomocnika lub innego członka zarządu).
  • Dokumentuj każdy krok: kto przyjął, kto zbadał, kto zatwierdził. Bez tego ani nie obronisz się przed kontrolą, ani nie wykażesz braku działań odwetowych.
  • Przeszkol osobę wyznaczoną: nie tylko z procedury, ale z podstaw obsługi spraw sygnalistów – komunikacja, deeskalacja, dokumentowanie.
  • Nie zostawiaj pojedynczej osoby samej: nawet w MŚP można stworzyć radę dwóch-trzech osób, choćby doraźnie, dla spraw szczególnie wrażliwych.

W praktyce zarząd MŚP nie ponosi odpowiedzialności za to, że zgłoszenie się pojawiło. Odpowiada za to, czy procedura była skonstruowana tak, by umożliwić rzetelne jego zbadanie. Wybór jednostki obsługującej to właśnie ten moment, w którym ta odpowiedzialność się materializuje.

Checklist przed wyznaczeniem jednostki

Przed podpisaniem wewnętrznej procedury warto przejść przez krótką listę kontrolną:

  • Czy wyznaczona osoba jest bezstronna wobec większości potencjalnych spraw? Jeśli nie – kto przejmie sprawę w razie konfliktu?
  • Czy ma czas i kompetencje do prowadzenia postępowania wyjaśniającego? Czy może liczyć na wsparcie zarządu i (ewentualnie) kancelarii zewnętrznej?
  • Czy ma dostęp do narzędzia umożliwiającego bezpieczną, szyfrowaną komunikację z sygnalistą? Anonimowość i poufność to nie opcja, lecz wymóg.
  • Czy procedura jasno mówi, co dzieje się, gdy zgłoszenie dotyczy jednostki obsługującej lub zarządu?
  • Czy prowadzony jest rejestr zgłoszeń z odpowiednimi zabezpieczeniami i okresem przechowywania?
  • Czy zespół został przeszkolony z zasad zgłaszania i zakazu działań odwetowych?
  • Czy pracownicy wiedzą, do kogo mogą się zgłosić i w jakiej formie? Bez tego nawet najlepsza procedura nie zadziała.
  • Czy wiadomo, kto odpowiada za termin 7 dni i 3 miesięcy – czy jest to jeden konkretny człowiek, a nie zespół bez lidera?

Jeśli choćby jedno pole z tej listy pozostaje puste, wyznaczenie jednostki wewnętrznej to za wcześnie. Warto wtedy rozważyć rozwiązanie zewnętrzne albo wyraźne wsparcie z zewnątrz – szczególnie w pierwszych miesiącach funkcjonowania procedury.

Często zadawane pytania

Czy w MŚP do 50 pracowników trzeba w ogóle wyznaczać jednostkę obsługującą zgłoszenia?

Ustawa o ochronie sygnalistów umożliwia w określonych przypadkach odstępstwo dla podmiotów prywatnych zatrudniających mniej niż 50 pracowników w zakresie spraw czysto pracowniczych – ale tylko wtedy, gdy nie prowadzą działalności w sektorach wrażliwych (finanse, zdrowie, energetyka, transport) i nie stwarzają szczególnego ryzyka naruszeń. W praktyce większość MŚP prowadzących jakąkolwiek działalność regulowaną musi mieć procedurę i wyznaczoną jednostkę.

Czy właściciel firmy może być jednocześnie jednostką obsługującą zgłoszenia?

Tak, jeśli nie jest stroną potencjalnego zgłoszenia i potrafi oddzielić swoją rolę „szefa” od roli „osoby badającej sprawę”. W jednoosobowych działalnościach to często jedyna opcja, ale wymaga szczególnie starannej dokumentacji i – w razie potrzeby – wsparcia zewnętrznego pełnomocnika.

Co zrobić, gdy zgłoszenie dotyczy osoby wyznaczonej do jego obsługi?

Procedura musi przewidywać taką sytuację z góry – np. automatyczną eskalację do innego członka zarządu, zewnętrznego pełnomocnika lub podmiotu zewnętrznego. Brak takiego zapisu to jedna z najczęstszych przyczyn naruszeń proceduralnych w MŚP.

Czy HR może być jednostką obsługującą, jeśli zgłoszenie dotyczy nękania przez przełożonego HR-u?

Formalnie tak, ale praktycznie będzie to konflikt ról. W takich przypadkach lepszą opcją jest wskazanie w procedurze osoby zastępującej (np. compliance officera lub podmiotu zewnętrznego) – jeszcze zanim pojawi się pierwsze zgłoszenie.

Czy jednostka obsługująca może korzystać z zewnętrznej kancelarii do badania sprawy?

Tak. Ustawa dopuszcza powierzenie obsługi podmiotowi zewnętrznemu, a także wsparcie zewnętrznych ekspertów (prawnych, audytowych, IT) na etapie postępowania wyjaśniającego. Ważne jest, by to jednostka obsługująca koordynowała całość i odpowiadała za terminy wobec sygnalisty.

Źródła